Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Menyiapkan kredensi layanan

Sebelum Anda membuat basis pengetahuan di Amazon Quick, selesaikan langkah-langkah konfigurasi berikut di AWS dan Microsoft Entra ID. Anda membuat kunci penandatanganan KMS, menghasilkan sertifikat, mendaftarkan aplikasi di Entra, dan memberikan izin Amazon Quick untuk menggunakan kunci tersebut.

Pengaturan ini melibatkan beberapa sistem dan mungkin memerlukan koordinasi antara administrator yang berbeda di organisasi Anda. Tabel berikut merangkum setiap langkah dan peran yang diperlukan untuk menyelesaikannya.

Prasyarat

Sebelum Anda mulai, pastikan Anda memiliki yang berikut:

Izin

Izin yang Anda tetapkan bergantung pada dua pilihan:

Pilih ruang lingkup izin Anda

Secara default, pendaftaran aplikasi Entra menggunakan Sites.Read.All atauSites.FullControl.All, yang memberikan akses ke semua SharePoint situs di penyewa Anda. Jika organisasi Anda memerlukan akses hak istimewa paling sedikit, Anda dapat menggunakannya sebagai gantinya. Sites.Selected DenganSites.Selected, aplikasi hanya dapat mengakses situs yang Anda berikan izin secara eksplisit.

Semua situs — konten saja (tidak ada ACL)

Semua situs — dengan perayapan ACL

Sites.Selected — konten saja (tidak ada ACL)

Sites.Selected — dengan perayapan ACL

Nilai yang dikumpulkan selama penyiapan

Tabel berikut merangkum nilai yang Anda buat atau kumpulkan selama penyiapan dan di mana Anda menggunakannya.

Langkah 1: Buat kunci penandatanganan asimetris AWS KMS

Amazon Quick menggunakan kunci asimetris AWS KMS untuk menandatangani pernyataan OAuth saat mengautentikasi dengan Microsoft Entra ID. Kunci pribadi tidak pernah meninggalkan KMS. Hanya kunci publik yang diekspor dan disematkan dalam sertifikat yang akan diunggah ke pendaftaran aplikasi Entra Anda.

Buat kunci KMS

Konfigurasikan kuncinya

Pada halaman tombol Configure, atur nilai berikut:

Tambahkan label

Pada halaman Tambahkan label, masukkan alias untuk kunci tersebut. Sebagai contoh: quick-sharepoint-service-auth.

Pilih Lewati untuk meninjau, lalu pilih Selesai untuk membuat kunci.

Rekam ARN Kunci

Setelah kunci dibuat, buka halaman detail kunci dan rekam ARN Kunci. ARN memiliki format berikut:

arn:aws:kms:us-west-2:123456789012:key/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

Anda memerlukan nilai ini di Langkah 2, 4, dan saat Anda membuat basis pengetahuan di Quick.

Langkah 2: Buat sertifikat yang ditandatangani sendiri

Microsoft Entra ID memerlukan X.509 sertifikat untuk memvalidasi pernyataan yang ditandatangani. Karena kunci pribadi KMS tidak pernah meninggalkan AWS KMS, Anda tidak dapat menggunakannya secara langsung dengan OpenSSL. Sebagai gantinya, Anda membuat key pair lokal sementara dan membuat permintaan penandatanganan sertifikat. Kemudian, gunakan opsi -force_pubkey OpenSSL untuk menyuntikkan kunci publik KMS ke dalam sertifikat akhir. Hasilnya adalah sertifikat yang ditandatangani sendiri yang kunci publiknya cocok dengan key pair KMS.

Prasyarat

Hasilkan sertifikat

Jalankan perintah berikut di terminal. Ganti placeholder nilai dengan nilai Anda sendiri.

Verifikasi versi OpenSSL

openssl version

Konfirmasikan output menunjukkan versi 3.0 atau yang lebih baru.

Ekspor kunci publik KMS

aws kms get-public-key \
    --key-id KMS_KEY_ARN \
    --region REGION \
    --output text \
    --query PublicKey | base64 --decode > public_key.der

Konversi kunci publik ke format PEM

openssl rsa -pubin -inform DER -in public_key.der -outform PEM -out kms_public_key.pem

Menghasilkan key pair lokal sementara

openssl genrsa -out temp_private_key.pem 2048

Buat permintaan penandatanganan sertifikat

openssl req -new \
    -key temp_private_key.pem \
    -out cert.csr \
    -subj "/CN=QuickSharePointServiceAuth/O=YourOrganization/C=US"

Hasilkan sertifikat dengan kunci publik KMS

openssl x509 -req \
    -in cert.csr \
    -signkey temp_private_key.pem \
    -out certificate.pem \
    -days 730 \
    -force_pubkey kms_public_key.pem

Konversi ke format DER untuk unggah Entra

openssl x509 -in certificate.pem -outform DER -out certificate.cer

Bersihkan file sementara

rm -f temp_private_key.pem cert.csr public_key.der kms_public_key.pem certificate.pem

Hitung cap jempol sertifikat

Jalankan perintah berikut untuk menghitung cap jempol berenkode base64url SHA-1 dari sertifikat:

openssl dgst -sha1 -binary certificate.cer | base64 | tr '+/' '-_' | tr -d '='

Catat nilai ini. Anda memasukkannya saat Anda membuat basis pengetahuan di Quick.

Langkah 3: Daftarkan aplikasi di Microsoft Entra ID

Langkah ini diperlukan terlepas dari apakah Anda menggunakan izin semua situs atau. Sites.Selected Satu-satunya perbedaan adalah izin API mana yang Anda tetapkan di bagian ini. Konfigurasikan izin API

Daftarkan aplikasi

Rekam detail aplikasi

Pada halaman Ikhtisar aplikasi, catat nilai-nilai berikut:

Konfigurasikan izin API

Tambahkan izin yang cocok dengan kasus penggunaan Anda. Pilih izin dari tabel di Izin bagian. Berdasarkan pilihan Anda pada cakupan izin Anda (semua situs atau Sites.Selected) dan apakah Anda mengaktifkan perayapan ACL.

Hanya konten - Microsoft Graph

Konten saja - SharePoint

Perayapan ACL — Microsoft Graph (tambahan)

Perayapan ACL — SharePoint

Berikan persetujuan admin

Unggah sertifikat

Langkah 3b: Berikan izin tingkat situs (hanya) Sites.Selected

Jika Anda memilih Sites.Selected sebagai cakupan izin, Anda harus secara eksplisit memberikan akses aplikasi Amazon Quick Entra ke setiap situs. SharePoint Ini memerlukan aplikasi admin sementara dengan Sites.FullControl.All izin untuk memanggil Microsoft Graph API.

Lewati langkah ini jika Anda menggunakan lingkup izin semua situs (Sites.Read.AllatauSites.FullControl.All).

Dapatkan ID Situs untuk setiap SharePoint situs

Anda memerlukan ID Situs untuk setiap SharePoint situs yang ingin Anda akses. Untuk mendapatkan ID Situs:

Ulangi untuk setiap situs yang ingin Anda sertakan dalam basis pengetahuan.

Buat aplikasi admin sementara

Aplikasi admin hanya digunakan untuk memberikan izin tingkat situs ke aplikasi Amazon Quick Anda. Anda dapat menghapusnya setelah menyelesaikan langkah ini.

Dapatkan token akses

Gunakan kredensi aplikasi admin untuk mengambil token OAuth dari Microsoft Entra. Ganti placeholder nilai dengan ID klien aplikasi admin Anda, nilai rahasia, dan ID penyewa.

macOS dan Linux (bash)

curl -s --location "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=client_credentials" \
  --data-urlencode "client_id=ADMIN_APP_CLIENT_ID" \
  --data-urlencode "client_secret=ADMIN_APP_SECRET_VALUE" \
  --data-urlencode "scope=https://graph.microsoft.com/.default"

Jendela (PowerShell)

$tokenResponse = Invoke-RestMethod `
  -Uri "https://login.microsoftonline.com/TENANT_ID/oauth2/v2.0/token" `
  -Method Post `
  -ContentType "application/x-www-form-urlencoded" `
  -Body @{
    grant_type    = "client_credentials"
    client_id     = "ADMIN_APP_CLIENT_ID"
    client_secret = "ADMIN_APP_SECRET_VALUE"
    scope         = "https://graph.microsoft.com/.default"
  }
$adminToken = $tokenResponse.access_token

Responsnya berisi access_token bidang. Catat nilai ini untuk langkah selanjutnya.

Berikan izin tingkat situs

Gunakan token admin untuk memberikan fullcontrol akses aplikasi Amazon Quick Entra Anda ke setiap SharePoint situs. Ganti placeholder nilai dengan ID Situs Anda, token admin, dan ID aplikasi klien dan nama tampilan dari Langkah 3.

macOS dan Linux (bash)

curl -s --location "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" \
  --header "Content-Type: application/json" \
  --header "Authorization: Bearer ADMIN_TOKEN" \
  --data '{
    "roles": ["fullcontrol"],
    "grantedToIdentities": [{
      "application": {
        "id": "CLIENT_APP_ID",
        "displayName": "CLIENT_APP_NAME"
      }
    }]
  }'

Jendela (PowerShell)

$body = @{
    roles = @("fullcontrol")
    grantedToIdentities = @(
        @{
            application = @{
                id          = "CLIENT_APP_ID"
                displayName = "CLIENT_APP_NAME"
            }
        }
    )
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
  -Uri "https://graph.microsoft.com/v1.0/sites/SITE_ID/permissions" `
  -Method Post `
  -Headers @{
    "Content-Type"  = "application/json"
    "Authorization" = "Bearer $adminToken"
  } `
  -Body $body

Respons yang berhasil mencakup "roles": ["fullcontrol"] dan ID aplikasi klien di grantedToIdentities bidang.

Bersihkan

Setelah Anda memberikan izin ke semua situs yang diperlukan, Anda dapat menghapus aplikasi admin sementara dari pusat admin Microsoft Entra. Izin tingkat situs yang Anda berikan tetap berlaku secara independen dari aplikasi admin.

Langkah 4: Berikan izin Amazon Cepat ke kunci KMS

Amazon Quick memerlukan izin untuk menggunakan kunci KMS untuk menandatangani pernyataan OAuth. Anda memberikan izin ini dari konsol admin Amazon Quick.

Langkah selanjutnya

Setelah Anda menyelesaikan penyiapan, buat koneksi basis pengetahuan SharePoint Online di Amazon Quick. Untuk petunjuk, lihat Buat basis pengetahuan di Amazon Quick.